La compañía neerlandesa Eurail B.V., responsable de gestionar los populares pases Eurail e Interrail que permiten recorrer más de 250.000 kilómetros de vías ferroviarias en Europa, confirmó que los datos sustraídos en una brecha de seguridad a comienzos de año están siendo ofrecidos a la venta en la dark web. El incidente, que ya había generado preocupación entre viajeros y autoridades, adquiere ahora una dimensión más grave al constatarse la publicación de un conjunto de datos de muestra en Telegram por parte del actor responsable.
La empresa, con sede en los Países Bajos, continúa investigando el alcance real del ataque y todavía no ha podido determinar cuántos clientes se han visto afectados ni qué tipos de registros concretos forman parte del paquete filtrado. Sin embargo, la información preliminar apunta a que los datos comprometidos incluyen elementos altamente sensibles: nombres completos, números de pasaporte, identificaciones oficiales, números IBAN, información de salud y datos de contacto como correos electrónicos y teléfonos.
Un ataque con impacto internacional
Eurail no es solo un operador comercial. Sus pases son un símbolo del viaje europeo flexible y asequible, especialmente entre jóvenes que participan en programas como DiscoverEU, una iniciativa de la Unión Europea que cada año ofrece miles de billetes gratuitos para fomentar la movilidad juvenil. La exposición de datos personales de estos viajeros —muchos de ellos menores de 26 años— eleva la preocupación sobre el posible uso malicioso de la información.
La compañía había revelado el incidente el mes pasado, explicando que actores no autorizados habían logrado acceder a su base de datos de clientes. En aquel momento, Eurail advirtió que la información comprometida podría incluir datos financieros y documentos de identidad, pero no existían evidencias de que los datos hubieran sido difundidos. Esa situación cambió esta semana.
“Nos hemos enterado de que los datos han sido ofrecidos a la venta en la dark web y que un conjunto de muestra ha sido publicado en Telegram”, señaló la empresa en una actualización oficial. “Estamos investigando qué registros específicos o cuántos clientes afectados están incluidos”.
La publicación de muestras en Telegram es una táctica habitual entre grupos criminales que buscan demostrar la autenticidad de los datos robados para atraer compradores. Aunque Eurail no ha confirmado la veracidad del contenido filtrado, la aparición de estos fragmentos suele ser un indicador de que los atacantes disponen de un volumen significativo de información.
Investigación en curso y notificación a autoridades
Eurail asegura que continúa trabajando para identificar con precisión qué datos fueron comprometidos para cada cliente afectado. La compañía enviará notificaciones individuales una vez disponga de esa información, en cumplimiento de las obligaciones del Reglamento General de Protección de Datos (GDPR).
Las autoridades de protección de datos europeas ya han sido notificadas, y Eurail afirma que también informará a organismos fuera de la UE cuando corresponda. Este tipo de incidentes, especialmente cuando involucran datos financieros y documentos de identidad, suelen desencadenar investigaciones regulatorias que pueden derivar en sanciones económicas si se determina que la empresa no aplicó medidas de seguridad adecuadas.
Riesgos para los viajeros: phishing, fraude y suplantación
La exposición de datos como números de pasaporte, identificaciones oficiales o IBAN bancarios abre la puerta a múltiples formas de abuso. Los expertos en ciberseguridad advierten que los afectados podrían enfrentarse a:
- Campañas de phishing altamente personalizadas, utilizando datos reales para generar confianza.
- Intentos de fraude bancario, especialmente si los atacantes combinan IBAN con otros datos personales.
- Suplantación de identidad, un riesgo elevado cuando se filtran documentos oficiales.
- Ingeniería social dirigida, aprovechando información de contacto y detalles de viaje.
Eurail recomienda a los usuarios que hayan adquirido pases recientemente que extremen la vigilancia ante correos o mensajes sospechosos, especialmente aquellos que soliciten información personal o financiera. También aconseja actualizar la contraseña de la cuenta del Rail Planner App y cambiarla en cualquier otro servicio donde se utilice la misma clave.
